벤더 조달에서의 인증 격차
기업 보안팀은 매년 수십 개의 벤더를 검토합니다. 빠른 필터가 필요합니다. ISO 27001 인증이 하나를 제공합니다. 감사자가 이미 벤더의 통제를 확인했습니다. 내부팀은 같은 작업을 반복할 필요가 없습니다.
이 인증이 없는 벤더는 모든 거래에서 사례를 처음부터 구축해야 합니다. 양측 모두 시간이 소요됩니다. 검토를 늦추고 실패 위험을 높입니다.
2022년 표준이 다루는 것
현재 버전의 Annex A는 네 그룹에 93개의 통제가 있습니다: 조직적, 인적, 물리적, 기술적. 팀들은 몇 가지 핵심 영역에 집중합니다.
암호화 통제(Annex A 8.24): 벤더는 키 사용 규칙을 정의해야 합니다. 키가 어떻게 생성되고, 저장되고, 접근되고, 제거되는지를 다룹니다. 인증은 감사자가 이 정책이 작동함을 확인했음을 보여줍니다.
접근 통제(Annex A 8.2~8.5): 고객 데이터에 대한 직원 접근은 최소 권한 규칙을 따라야 합니다. 인증은 그 한계가 문서화되고 시행됐음을 보여줍니다.
공급자 관계(Annex A 5.19~5.22): 벤더는 자신의 공급자에 대한 보안 규칙을 문서화해야 합니다.
인증서는 프로세스와 조직 통제가 갖춰져 있음을 확인합니다.
인증이 답하지 않는 질문
표준은 프로세스 질문에 답합니다. 규제 기업이 가장 중요하게 생각하는 것은 답하지 않습니다: 벤더가 우리 데이터를 읽을 수 있는가?
인증된 벤더도 여전히 서버 측 키를 보유할 수 있습니다. 인증은 키 관리가 정책을 따른다고 확인합니다. 그 정책이 벤더의 평문 접근을 차단한다고 확인하지 않습니다.
제로 지식 설계는 표준이 남겨둔 것에 답합니다. 키가 클라이언트 측에서 만들어집니다. 서버에 키가 없습니다. 데이터가 클라이언트를 떠나기 전에 AES-256-GCM으로 암호화됩니다. 벤더는 고객 데이터를 읽을 수 없습니다. 이것은 정책 선택이 아닌 구조적 사실입니다.
이것은 두 가지 별개의 우려를 다룹니다. 인증은 조달 양식의 프로세스 및 조직 점검을 충족합니다. 제로 지식 설계는 규제 기업이 가장 높게 평가하는 데이터 접근 우려를 충족합니다.
제로 지식 설계가 보안 설문지에 어떻게 답하는지와 보안 및 컴플라이언스 개요를 참조하세요.
검토 시간에 미치는 영향
규제 시장의 벤더 검토에는 시간이 걸립니다. 설문지 작업, 문서 검토, 아키텍처 검토, 종종 보안팀과의 통화를 포함합니다.
인증은 문서 검토를 단축합니다. 인증서와 적용 가능성 진술서가 증거로 작용합니다. 조달팀은 그 작업을 반복할 필요가 없습니다.
제로 지식 설계는 아키텍처 검토를 단축합니다. 데이터 접근 질문에 명확한 구조적 답변이 있습니다.
두 요소 모두 벤더 검토를 연장하는 주고받기를 줄입니다. 팀들은 첫 번째 제출에서 어려운 질문들이 직접적인 답변을 받을 때 더 빠르게 이동합니다.
FAQ 허브에서 더 자세히 알아보세요.